정보보호제품 평가·인증

핵심 정리

정보보호제품 평가·인증은 정보보호제품의 성능과 신뢰도를 정해진 기준에 따라 평가하고 인증하는 제도다. 이 제도는 「지능정보화 기본법」 제58조에 근거한다. 인증을 맡는 기관은 국가보안기술연구소다.

평가의 잣대가 되는 것은 공통평가기준(CC)이다. CC는 ISO/IEC 15408로 규정된 국제 표준으로, 정보보호 제품의 보안성을 EAL1부터 EAL7까지의 평가보증등급으로 평가한다. CC로 받은 평가 결과는 국제적으로 상호 인정된다. 그래서 평가 결과를 읽을 때는 등급 번호와 함께 어떤 기준으로 받은 결과인지를 함께 확인해야 한다.

평가를 읽는 출발점은 대상과 기준을 나누는 일이다. 평가 대상이 갖추어야 할 보안 요구사항과 보안 기능 명세는 보안목표명세서(ST)에 서술된다. 평가를 받는 제품이나 시스템은 평가대상(TOE)으로 부르며, 인증 평가는 이 평가대상을 중심으로 진행된다.

CC 평가의 한계는 범위에 있다. 평가 결과는 정해진 평가대상과 그 보안 목표의 범위 안에서만 해석해야 한다. 같은 제품이라도 보안목표명세서의 범위가 다르면 평가의 결론이 달라지므로, 인증 결과를 읽을 때는 대상과 범위를 먼저 확인한다.

CC보다 앞선 기준도 있었다. 미국 국방부의 컴퓨터 시스템 보안 평가 기준인 TCSEC은 오렌지북(Orange Book)이라고도 불린다. 유럽 국가들이 자국 정보보호 시스템을 평가하기 위해 제정한 기준은 ITSEC이다. 두 기준은 CC와 다른 체계이므로 등급 표기를 서로 섞어 쓰면 안 된다.

자세히

평가보증등급의 순서와 수준

평가보증등급은 EAL로 표시된다. 등급의 순서부터 정확히 잡아야 한다. 평가보증등급은 EAL1이 최저이고 EAL7이 최고다. 번호가 커질수록 보증 수준이 높아진다고 읽으면 된다.

가장 낮은 EAL1은 기능 시험 수준이고, 구조적 시험은 EAL2에 해당한다. 한 단계 위인 EAL3은 방법론적으로 시험되고 점검된 수준이며, 방법론적 설계·시험·검토는 EAL4에 해당한다. EAL4는 상업적 개발 관행에 따라 방법론적으로 설계, 시험, 검토하는 등급으로, 상용 제품에 현실적으로 적용되는 수준이다. 최상위에 가까운 쪽에서는 준정형적으로 검증된 설계와 시험이 EAL6이고, 정형적으로 검증된 설계와 시험이 EAL7이다.

선지 풀이에서는 주어가 기능 쪽 용어인지 보증 쪽 용어인지부터 확인한다. 그다음 등급 번호가 맞는지 본다. 번호와 수준을 짝지어 외워 두면 등급 순서를 뒤집은 선지를 바로 가릴 수 있다.

보안 기능 요구사항과 보증 요구사항

CC의 요구사항은 어떤 보안 기능을 갖추었는지를 정하는 쪽과, 그 결과를 얼마나 믿을 수 있는지를 정하는 쪽으로 나뉜다. 두 쪽을 섞으면 선지가 틀린다.

암호 지원은 암호 키 관리와 암호 연산을 다루는 CC의 보안 기능 요구사항 클래스(FCS)이며 보증 요구사항이 아니다. 식별과 인증은 CC의 보안 기능 요구사항 클래스(FIA)이며, 기능적 요구 조건에 해당할 뿐 보증 요구사항이 아니다. 사용자 데이터 보호는 CC의 보안 기능 요구사항 클래스(FDP)이며 보증 요구사항이 아니다.

반대쪽에는 취약점 평가는 보증 활동이 있다. 취약점 평가는 보증 활동으로서 보증 요구 조건에 속하며 기능적 요구 조건이 아니다. CC의 보증 요구사항에는 개발(ADV) 클래스도 포함된다.

선지에 암호, 식별, 사용자 데이터 보호가 나오면 기능 쪽을 떠올리고, 취약점 평가나 개발 단계의 요구가 나오면 보증 쪽을 떠올린다. 이 구분이 흔들리면 같은 CC 안의 항목도 엉뚱한 쪽에 묶게 된다.

보호 프로파일과 보안목표명세서

보호프로파일(PP)은 제품군별 구현에 독립적인 보안요구사항을 서술한 문서이다. 보호 프로파일은 사용 환경에서 필요한 보안기능과 보증 요구사항을 공통평가기준에 근거해 서술한 문서다.